Meus arquivos foram criptografados e pediram resgate: o que fazer
Ver pastas renomeadas, extensões estranhas e uma mensagem cobrando pagamento é um dos momentos mais críticos de um incidente. A pressa pode espalhar o dano, destruir evidências ou levar a uma decisão financeira sem informação.
O que observar Nota de resgate completa Extensão e padrão de renomeação Arquivo criptografado de exemplo Arquivo original correspondente Horário do primeiro sintoma
Ações imediatas diante de ransomware
Retire da rede o equipamento afetado para reduzir propagação, sem apagar o disco.
Acione segurança, infraestrutura, gestão, jurídico e continuidade.
Mensagem, endereço, e-mail, site e identificador ajudam a caracterizar o caso.
Verifique servidores, compartilhamentos, nuvem, contas e backups.
Revogue sessões e priorize contas administrativas usadas no período.
Planeje restaurar sem sobrescrever o ambiente que precisa ser analisado.
Isole o que está sendo criptografado
Se o processo ainda está em andamento, desconecte a rede do ativo claramente afetado e bloqueie acessos compartilhados conforme o plano da empresa. Evite reiniciar por reflexo, pois processos e conexões úteis podem desaparecer.
Não conecte pendrive ou disco externo para “salvar o que sobrou” sem controle. Isso pode contaminar ou criptografar a mídia.
Preserve a nota e os arquivos de exemplo
Guarde a nota de resgate, extensão adicionada, nomes de arquivos, endereço de comunicação, carteira e identificador fornecido. Preserve também alguns arquivos criptografados e, se existir, a versão original correspondente.
Esses materiais podem ajudar na identificação da família e na avaliação de ferramentas legítimas de recuperação.
- Nota de resgate completa
- Extensão e padrão de renomeação
- Arquivo criptografado de exemplo
- Arquivo original correspondente
- Horário do primeiro sintoma
Considere que pode ter havido roubo de dados
Muitos grupos combinam criptografia com extorsão por vazamento. Isso significa que o incidente pode envolver confidencialidade, não apenas disponibilidade.
Revise tráfego de saída, contas usadas, ferramentas de compactação, armazenamento em nuvem e sinais de exfiltração.
Como avaliar backups
Confirme quais cópias estão offline, imutáveis ou isoladas, quando foram testadas e se são anteriores ao comprometimento. Um backup recente pode conter a persistência do atacante.
Restaure primeiro em ambiente segregado, valide integridade e aplique correções antes de voltar à produção.
Se o atacante ainda estiver ativo, o backup pode ser criptografado assim que for montado. Preserve cópias offline e valide o ambiente antes da restauração.
Sobre pagar o resgate
Pagamento não garante chave, integridade, exclusão dos dados ou ausência de nova extorsão. A decisão envolve risco operacional, jurídico, financeiro e reputacional, e não deve ser tomada por uma pessoa isolada.
Antes de qualquer decisão, envolva gestão, jurídico, seguradora quando houver e especialistas qualificados.
Recuperação segura e retorno por etapas
Separe investigação de recuperação. Construa um ambiente limpo, corrija a entrada provável, redefina credenciais e valide backups antes de devolver serviços à produção.
Monitore contas administrativas, conexões externas, novos arquivos e alertas durante a retomada. O objetivo não é apenas abrir os sistemas; é evitar que o atacante retome o acesso.
No guia de Pós-invasão, organize o que preservar antes de limpar e como preparar uma análise que explique o ataque e reduza a chance de repetição.
Perguntas frequentes
Devo desligar o computador imediatamente?
Se a criptografia está ativa, isolar da rede costuma ser prioritário. O desligamento precisa considerar preservação de evidências e impacto operacional.
Posso restaurar o backup agora?
Não conecte o backup ao ambiente comprometido sem validar que o atacante não continua ativo e que a cópia é confiável.
Pagar garante a recuperação?
Não. Não há garantia de chave funcional, integridade dos dados, exclusão de cópias roubadas ou fim da extorsão.
Ransomware significa que dados foram roubados?
Não sempre, mas muitos grupos combinam criptografia com exfiltração. A investigação precisa considerar essa possibilidade.
Organize o próximo passo sem perder evidências.
Se existe risco real, preserve os registros e siga o caminho de atendimento indicado neste guia.
Leandro Lucio
Especialista em Cyber Security e Digital Forensics, atua com gestão de vulnerabilidades, investigação digital, resposta a incidentes, pentest autorizado e proteção de ambientes online. Este conteúdo transforma segurança da informação em orientação prática para pessoas, famílias e negócios.
Conheça minha trajetória técnica →